La alerta mundial de ciberseguridad de esta semana llegó a Chihuahua como una pregunta incómoda: en qué estado están los portales donde la gente del estado hace sus trámites. Una revisión hecha por Chihuahua Hoy el 22 de octubre encontró que, de las direcciones oficiales que dejan ver qué versión de PHP usan, la mayoría corre versiones que ya no reciben parches de seguridad de ninguna clase, y que ocho portales de municipios y dependencias estatales no abren correctamente en su conexión segura.

El 21 de octubre el proyecto PHP —el lenguaje con el que está construida buena parte de la web, incluidos los sistemas de trámites de muchos gobiernos— publicó parches de emergencia por dos fallas calificadas con 9.2 de 10 en la escala estándar de gravedad, que permiten a un atacante tomar el control de un servidor sin necesidad de contraseña. Las correcciones salieron en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La agencia de ciberseguridad del gobierno de Estados Unidos, CISA, pidió a los administradores de sistemas aplicarlas de inmediato, y gobiernos de varios países europeos desconectaron portales de forma preventiva mientras actualizaban. Ya se han observado intentos de aprovechar las fallas, aunque hasta este jueves no había confirmación pública de una intrusión exitosa.

Para medir qué tan expuesto está el estado, este medio consultó el 22 de octubre los encabezados públicos de respuesta de 30 direcciones de internet de dependencias del gobierno estatal, municipios, organismos y universidades de Chihuahua: la misma información que cualquier navegador recibe al abrir la página. Cuatro de esas direcciones no existen. De las que sí responden, cinco declaran abiertamente qué versión de PHP usan, y tres de esas cinco corren ramas del lenguaje cuyo soporte ya terminó: una de ellas dejó de recibir parches hace casi cuatro años. Las otras dos están en una rama viva, una versión por detrás de la corrección del 21 de octubre.

La diferencia importa. Cuando una versión de PHP llega al final de su soporte, el parche de una falla como la de esta semana simplemente no se publica para ella: no es que nadie lo haya instalado, es que no existe. Ponerse al día deja de ser una actualización de rutina y se convierte en migrar el sistema completo, con su presupuesto y su tiempo. Las fechas de fin de soporte las publica el propio proyecto con años de anticipación y son públicas.

Hay un segundo hallazgo que cualquiera puede ver sin saber nada de programación: seis portales municipales de Chihuahua no abren correctamente en HTTPS, la conexión cifrada que protege los datos que uno escribe en un formulario. Cuatro de ellos rechazan o no contestan la conexión segura y dos presentan un certificado emitido para otro nombre, con lo que el navegador despliega la advertencia de «sitio no seguro». Dos dependencias estatales están en la misma condición: una no acepta la conexión segura y otra entrega un certificado incompleto. Las lecturas se repitieron desde dos redes distintas, con el mismo resultado en todos los casos.

Varios de esos portales municipales comparten además la misma dirección de servidor: dos direcciones concentran cinco de los dominios revisados, lo que apunta a un proveedor o un servidor compartido entre municipios. Si ese equipo está mal mantenido, el problema no es de un ayuntamiento, es de todos los que cuelgan de ahí al mismo tiempo.

Hay que decirlo con claridad: no hay ningún caso documentado de un sitio de Chihuahua caído, atacado o apagado por esta falla, y nada en esta revisión indica que alguno haya sido comprometido. El portal del gobierno del estado y el del municipio de Juárez, los dos de mayor tráfico, respondieron con normalidad y no revelan qué versión de PHP usan, que es justamente la práctica recomendada: no darle al atacante el primer dato gratis. Esta nota no publica dominios, versiones ni rutas, y la revisión se limitó a abrir cada sitio como lo haría cualquier visitante y leer los encabezados que el propio servidor envía; no se hizo ninguna prueba sobre los sistemas.

Lo que sí falta es el aviso. Ni el gobierno del estado, ni ningún municipio, ni las cámaras empresariales de Chihuahua publicaron esta semana una alerta o una recomendación sobre el asunto. El material más reciente de la Policía Cibernética estatal en esa línea es una alerta por una modalidad de fraude digital de julio de 2024. En el ámbito nacional, la firma mexicana de ciberseguridad SILIKN señaló el 21 de octubre a las tesorerías municipales y a las secretarías de finanzas estatales como sectores que conviene revisar, sin dar cifras de México ni nombrar instituciones.

Para quien quiera reportar algo, el gobierno del estado mantiene publicados en su portal el 070 y el 800 MÁRCAME como líneas de atención ciudadana. Y para quien administra un sitio propio —un negocio, una asociación, un despacho—, la recomendación de CISA es una sola y es de esta semana: preguntar al proveedor de hosting si ya aplicó el parche del 21 de octubre.